Защита сети Nintendo Homepass

Question

Некоторые пользователи Nintendo 3DS настраивают точки беспроводного доступа, чтобы обманным путем заставить свою портативную консоль рассматривать AP как официальную точку доступа "Nintendo Zone". Это стало известно как установка "Homepass". Типичная настройка Linux Homepass AP включает запуск hostapd на беспроводной сетевой карте с SSID "NZ @ McD1" и поддельным MAC-адресом. Затем беспроводная сеть подключается к второй сетевой карте, подключенной к их домашней сети, что позволяет исходящий сетевой трафик. В прошлом пользователи могли шифровать эту точку доступа с помощью пароля, чтобы предотвратить несанкционированный доступ. Недавнее обновление ОС 3DS изменило требования, так что точка доступа не должна иметь шифрование. Из-за этого пользователи Homepass должны найти другие способы ограничить AP.

Захват пакета обмена Homepass 3DS показывает запросы DNS для следующего:

conntest.nintendowifi.net
nppl.c.app.nintendowifi.net
npdl.cdn.nintendowifi.net

Основываясь на том факте, что есть только несколько доменов, к которым необходимо получить доступ, и поскольку каждый раз это одни и те же домены, я думаю, что точка доступа должна быть ограничена:

• Настройте кэширующий DNS на точке доступа, которая разрешает запросы только в домене nintendowifi.net . Это должно предотвратить любой IP-over-DNS.
• Любой входящий пакет на интерфейсе AP должен быть предназначен для вышеупомянутого кэширующего DNS или выходить в один из доменов, перечисленных выше. Все остальное должно быть отброшено.

Возможна ли такая установка? Если так, что было бы лучшим способом сделать это? Кроме того, здесь что-то не хватает с точки зрения ограничения доступа?

Answer 1

У меня нет опыта работы с Nintendo Wireless (если кто-то хочет купить мне какое-то оборудование Nintendo для его тестирования, я не против получить опыт!).

Тем не менее, если вы пытаетесь ограничить беспроводные соединения через hostapd, у меня есть опыт с этим:

Отредактируйте файл hostapd и добавьте следующие строки:

macaddr_acl = 1

accept_mac_file =/ и т.д. / hostapd / hostapd-mac.accept

Если верхняя строка уже установлена на 0, измените ее на 1.

Затем создайте файл /etc/hostapd/hostapd-mac.accept и поместите туда MAC-адрес вашего устройства.

MAC-адреса могут быть подделаны, но это должно остановить обычного человека, подключающегося.

Для дополнительной безопасности и вашего реального вопроса вам действительно необходимо точно знать, к каким хостам подключается ваше устройство Nintendo, и ограничить его, так как любой вид открытого интернета открыт для злоупотреблений - даже если вы блокируете DNS, я всегда могу подключиться к VPN через IP только потом туннель выходит ...

Answer 2

Зоны Nintendo могут быть незашифрованными или зашифрованными. Ситуация для прошивок 9.2 и более ранних версий заключалась в том, что 3DS будет подключаться к ssids nzone, которые были назначены незашифрованными даже при наличии шифрования, и эти ssids включают в себя attwifi/NZ @ McD1 и т.д. В более поздних прошивках этот доступ очки больше не считаются действительными зонами.

Ssids, предназначенные для использования шифрования, делают это с предустановленными паролями, хранящимися в самом 3DS, поэтому любая попытка подделки их должна выполняться с теми же паролями.